En ny npm-orm har infisert minst 444 programvarepakker og over 2 000 pakkeversjoner, noe som setter applikasjoner med til sammen mer enn to milliarder månedlige installasjoner i fare.
Skadevaren sprer seg gjennom stjålne utviklerlegitimasjoner og infiserer automatisk flere pakker. Sikkerhetsforskere advarer om at berørte organisasjoner bør anta at systemene og hemmelighetene deres kan ha blitt eksponert.
Skysikkerhetsselskapet Wiz opplyser at angrepet spredte seg til en stor del av økosystemet for åpen kildekode på under 24 timer. Hendelsen startet etter at angripere kompromitterte GitHub-kontoen til utvikleren Jared Wray 4. august.
Wray vedlikeholder keyv og cacheable, to mye brukte prosjekter med åpen kildekode for JavaScript-basert databehandling og hurtigbufring.
Kompromittert utviklerkonto starter massiv npm-orm
Den første kjente ondsinnede utgivelsen var keyv versjon 6.0.0. Denne pakken alene har rundt 604 millioner månedlige nedlastinger.
Angriperne fulgte raskt opp med infiserte utgivelser av andre populære pakker, blant annet cacheable, flat-cache og file-entry-cache. Flat-cache og file-entry-cache har henholdsvis rundt 565 millioner og 557 millioner månedlige nedlastinger.
Når de ondsinnede pakkene installeres eller oppdateres, kan de kompromittere en utviklers system fullstendig. Skadevaren stjeler legitimasjon fra .env-filer, npm- og GitHub-tokener, AWS- og Kubernetes-hemmeligheter, SSH-nøkler, VPN-konfigurasjoner og mer enn 200 andre typer legitimasjon.
Ormen bruker deretter stjålne publiseringstokener til å infisere pakker som eies av andre kompromitterte utviklere.
Aikido opplyser at selskapet har observert aktiv spredning i utviklermiljøet som påvirker flere utviklere, pakker og store organisasjoner.
Skadevaren bruker preinstall-hook for å spre seg
StepSecurity opplyser at alle infiserte versjoner bruker samme infeksjonsmetode. En preinstall-dropper laster ned det legitime JavaScript-runtime-miljøet Bun og starter deretter en obfuskert nyttelast på 710 KB i et andre trinn.
Nyttelasten stjeler legitimasjon, publiserer flere ondsinnede pakker og endrer AI-utviklingsverktøy.
Forskerne identifiserte skadevaren som en videreutviklet etterkommer av Shai-Hulud 2.0, en av flere npm-ormer som har angrepet økosystemet i år. Den ondsinnede koden inneholder angivelig markører fra tidligere Shai-Hulud-kampanjer og oppretter offentlige GitHub-repositoriebeskrivelser med teksten: «Shai-Hulud: Here We Go Again.»
Microsoft opplyser at skadevaren kan identifisere pakker som er tilgjengelige for en kompromittert npm-konto, laste ned de nyeste tarball-filene, injisere ondsinnet kode og en setup-loader, legge til en preinstall-hook, øke patchversjonen og publisere den endrede pakken på nytt.
Nye funksjoner retter seg mot AI-verktøy og kryptolommebøker
Den nyeste npm-ormen etablerer også vedvarende tilgang ved å endre konfigurasjonsfiler for Claude og Visual Studio Code i infiserte kodearkiver.
Den henter kommando- og kontrolldomener fra Ethereum-blokkjeden, noe som kan gjøre det mulig for operatørene å endre infrastrukturen uten å oppdatere selve skadevaren. Forskerne fant også at den retter seg mot 70 prosent flere legitimasjonskilder enn tidligere varianter.
Nye mål omfatter Claude, OpenAI, Codex, Cursor, Gemini og kryptolommebøker knyttet til Foundry, Solana og Monero.
Wiz opplyser at skadevaren også inneholder en oppdatert såkalt «dead man’s switch» som kan aktiveres selektivt basert på et svar fra kommando- og kontrollserveren.
Sikkerhetsselskaper anbefaler at berørte utviklere og organisasjoner umiddelbart roterer all legitimasjon, undersøker kodearkiver og publiserte pakker for tegn på kompromittering, rengjør infiserte systemer og innfører sterkere beskyttelse mot angrep i programvareforsyningskjeden.
Det fulle omfanget av hendelsen er fortsatt uklart. Fordi ormen sprer seg gjennom utvikleres legitimasjon, advarer forskere om at tusenvis av kontoer allerede kan være kompromittert.
0 responses to “npm-orm infiserer 444 pakker med 2 milliarder månedlige nedlastinger”